JPH10322329A - 量子暗号の構成方法 - Google Patents

Abstract

(57)【要約】 【課題】 ２状態のみ使用し、測定系の切り替えが不要
であり、ビット照合のみで安全性を確保でき、送信パル
ス列のすべてを利用しうる量子暗号の構成方法を提供す
る。 【解決手段】 送信者１はビット”０”の場合はポート
Ａから、ビット”１”の場合はポートＢから光パルス３
を入れて、乱数表６を送信する。光パルス３は分岐比が
非対称なビームスプリッタ２５で分割され、ビームスプ
リッタ２５からの一方の光パルス２６は光ファイバ１
６、遅延２４を通ってビームスプリッタ２９に入射し、
他方の光パルス２７は遅延２３、光ファイバ１７、π位
相シフト２８を通ってビームスプリッタ２９に入射し、
ポートＡから入射した光パルス３はポートＡ′に、ポー
トＢから入射した光パルス３はポートＢ′に出射し、受
信者２はポートＡ′かＢ′かを見ているだけで送信者１
の乱数表６を再生できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、量子力学の不確定
性原理を利用し、盗聴者の有無をモニタしながら鍵であ
る乱数列を交換する量子暗号の構成方法に関する。

【０００２】

【従来の技術】暗号には、盗聴されていることを前提に
その解読が計算量論的に困難であることに安全性の根拠
をおく現代暗号と、量子力学の不確定性原理を利用し、
盗聴者の有無をモニタしながら鍵である乱数列を交換す
ることを特徴とする量子暗号とがある。まず、現代暗号
について説明する。

【０００３】現代暗号は、送信するメッセージを数字化
し（これを平叙文と呼ぶ）、それに乱数を演算して第三
者にはランダムに見える暗号文にし、第三者の知らない
復号法で受信者が復号するもので、大きく分けて秘密鍵
暗号法と公開鍵暗号法がある。送信者が暗号化に使う乱
数表を暗号鍵、受信者が復号に使う乱数表を復号鍵と呼
ぶが、秘密鍵暗号法では暗号鍵と復号鍵は同一（秘密鍵
と呼ばれる）であり、送信者と受信者は何らかの安全な
方法、例えば直接会うなどで事前に秘密鍵を決定してい
る。

【０００４】平叙文と秘密鍵の長さが等しいとき、すな
わち一度使った秘密鍵は必ず捨てるとき（これをone ti
me pad法と呼ぶが）、この方法は絶対的安全性を有して
いることがShannon により証明されている。しかし、メ
ッセージに匹敵する長さの秘密鍵をその都度事前に交換
することの非現実性（それができるならばメッセージそ
のものを交換すればよい）の故、one time pad法は実際
には使われていない。実用的な秘密鍵暗号法では同じ秘
密鍵を繰り返し使用する。

【０００５】公開鍵暗号法では受信者が公開鍵と秘密鍵
の２つを所有しており、公開鍵を一般に公開する。送信
者は受信者の公開鍵を使って暗号化し送信し、受信者は
秘密鍵を使って復号化する。いうまでもなく、ここでも
公開鍵と秘密鍵を繰り返し使用する。これらの現代暗号
については文献：［１］太田和夫・黒澤馨・渡辺治著
「情報セキュリティの科学」（講談社ブルーバック
ス）、［２］今井秀樹著「暗号のおはなし」（日本規格
協会）、［３］岡本英司著「暗号理論入門」（共立出
版）、［４］池野信一、小山謙二著「現代暗号理論」
（電子通信学会）に詳しく説明されている。

【０００６】現代暗号では暗号文が盗聴されることを前
提としており、盗聴されても解読に天文学的時間がかか
ることに安全性の根拠をおいている。計算量論的表現を
用いれば、整数の素因数分解がＰ型問題に属していない
という仮説に根拠をおいている。

【０００７】しかし、この仮説は未だ証明されていない
予想に過ぎない。それどころか１９９４年には量子コン
ピューティング法まで計算法を拡張すれば素因数分解が
Ｐ型問題に転化されることが数学的に証明された。これ
については文献：［５］Peter W.Shor:"Algorithms for
quantum computation:Discrete logarithms and facto
ring,"Proceedings of the 35th Annual Symposium on
Foundations of Computer Science edited by S.Goldwa
sser（IEEE Computer Society,Los Alamitos,CA,1994）
p.124 、［６］西野哲朗「量子コンピュータ」情報処理
学会誌第３６巻４号（1995年 4月）p.337 に詳しく説明
されている。

【０００８】この量子コンピュータは未だ実用化されて
いないが、現代暗号の究極の拠り所が理論上とはいえ崩
れ去ったため、その安全性が将来保証されなくなること
が避けられないと考えられている。

【０００９】次に、従来の量子暗号について説明する。

【００１０】量子コンピューティング法を用いても、な
お破ることができない暗号として量子暗号がある。これ
は量子力学の不確定性原理に基づき盗聴者のどんな盗聴
行為も必ず何らかの痕跡を量子レベルの信号に残すこと
を利用し、盗聴されていないことを確認しながら秘密鍵
を決定する手続きである。すなわち、上述した秘密鍵暗
号方式においては送信者と受信者が何らかの安全な方法
で事前に秘密鍵を決定しておく必要があるが、その安全
な方法としては、直接会見を除けば現在のところ量子暗
号以外はない。量子暗号を用いれば、恒常的に秘密鍵の
交換を行うことが可能であり、絶対安全が保証されてい
るone time pad法の使用が可能となる。

【００１１】量子暗号の具体的方法として４状態暗号、
遅延４状態暗号、非直交２状態暗号、時間差干渉暗号が
提案されている。次に、これらの各量子暗号について説
明する。

【００１２】まず、４状態暗号について説明する。４状
態暗号は最初に考案された量子暗号であり、詳細は文
献：［７］C.H.Bennett and G.Brassard,in Proceeding
s of IEEE International Conference on Computers,Sy
stems and Signal Processing,Bangalore,India （IEE
E,New York,1984），p.175 、［８］Ａ．エカート／井
元信之訳「量子暗号への招待」パリティ，vol.7 ，No.
2，p.26（1992）、［９］Ｇ．コリンズ／井元信之訳
「量子暗号は史上最強の暗号」パリティ，vol.8 ，No.
5，p.31（1993）に述べられているが、以下簡単に説明
する。

【００１３】４状態暗号においては、図２に示すよう
に、送信者１と受信者２は１ビットにつき光子を１つだ
け含む光パルス３を送る量子チャンネル４と送信および
受信状態を確認し合う古典的チャンネル５を使う。量子
チャンネル４は通常光ファイバであり、古典的チャンネ
ル５は無線や電話等である。古典的チャンネルは盗聴さ
れていることを前提とするが、改竄はされないと仮定す
る。このことを明確にするため、以下本明細書では古典
的チャンネルを公開チャンネルと呼ぶ。また、量子暗号
に限らず暗号理論の前提として、盗聴者は図の伝送路部
にアクセスすることはできるが、送信側および受信側に
はアクセスできない。

【００１４】送信側ビット”０”および”１”を光パル
ス３にコーディングするにあたり、直線偏光と円偏光の
二種類の変数、すなわち二種類のコーディング法を用い
る。例えば、直線偏光コーディングの場合は「水平」
を”０”に、「垂直」を”１”に、円偏光コーディング
の場合は「右回り」を”０”に、「左回り」を”１”に
対応させる。このような取り決めを送信者１と受信者２
は予め（公開チャンネル５で）行っておく。送信者１は
二進法で書かれた乱数表６を用意する。これは受信者２
と共有する秘密鍵７を生成するための元になる乱数表で
ある。秘密鍵７は次に説明するように乱数表６から半分
弱のビットを抽出した部分乱数表となっている。４状態
暗号における送信者１と受信者２のプロトコルは次のよ
うになる。

【００１５】ステップ１：送信者１はランダムにコーデ
ィング法を選択し、乱数表６に従って光パルス３の偏光
を変調器８を用いて変調する。例えば円偏光でコーディ
ングすることとし、乱数表６の最初の値が”１”ならば
「左回り」偏光となるように光パルス３の偏光状態を変
える。送信者１には選択したコーディング法は知らせ
ず、光パルス３だけを送る。同様にして引き続くビット
に対して次々と光子を送る。

【００１６】ステップ２：受信者２は受けた光パルス３
が光子を１つしか含まないので、直線偏光と円偏光の両
方を測ることはできない（不確定性原理）。従って、ど
ちらを測るかを決心し、偏光測定器を含む受光器９を用
いて測定する。送信者１が選択したコーディング法と同
じコーディング法と間違ったコーディング法を選ぶ確率
はそれぞれ５０％である。同じだった場合、乱数表６の
値が正しく受信者２に再現されるが、間違った場合はそ
のビットに関する送信者１と受信者２の間の相互情報量
はゼロとなる。

【００１７】ステップ３：光パルスを１つ測定する毎に
（あるいは後でまとめて交信してもよいが）受信者２は
どちらのコーディング法を選択したか、公開チャンネル
５で明らかにする。送信者１はそれを聞き、受信者２の
コーディング選択が正しかったか否かを公開チャンネル
５で伝える。

【００１８】ステップ４：送信者１と受信者２は双方が
同じコーディング法を選択した約半分のビットだけを採
用し、後の半分は捨てる。盗聴がなければ双方に同じ乱
数表が形成されているはずである。

【００１９】ステップ５：送信者１と受信者２は残った
ビットのうち適当な割合で照合ビットを抽出し、それぞ
れの答合わせを（公開チャンネル５で）行う。十分な数
の照合ビットが一致すれば、上記文献に説明されている
ような理由により、１に近い確率で盗聴されていないと
結論づけられる。

【００２０】ステップ６：照合ビットも除いたビットは
送信者１と受信者２しか知らない同一の値を有すること
が保証されているので、それを秘密鍵７と決定する。

【００２１】以上の手順により、盗聴されていないこと
をリアルタイムでモニタしながら秘密鍵を生成して行く
ことができる。万一照合ビットから盗聴を発見した場合
は、盗聴発見期間の交信をすべて無効とし、量子チャン
ネルをチェックするか、あらためて構築する。実際は盗
聴者が最も恐れるのは盗聴の発覚であり、しかも発覚の
危険を侵しても盗聴遂行できない（盗聴した秘密鍵は破
棄されてしまう）ので、量子暗号に対して盗聴者のなす
べき手段は事実上ない。

【００２２】４状態暗号の欠点の１つは、受信者２が測
定を行う際のコーディング法の選択が、５０％の確率で
間違うため、送信者が送り出した光パルスのうち、半分
は原理的に無駄になってしまう点である。

【００２３】次に、遅延４状態暗号について説明する。
上述した４状態暗号の欠点は、図３に示すように、受信
者２の受光器の手前に信号の遅延１０を設けることによ
って解消される。遅延１０の長さは、以下に述べるプロ
トコルのステップ３を受信者２が実行できるに足るもの
とする。遅延４状態暗号における送信者１と受信者２の
プロトコルは次のようになる。

【００２４】ステップ１：送信者１はランダムにコーデ
ィング法を選択し、乱数表６に従って光パルス３の偏光
を変調器８を用いて変調する。例えば、円偏光でコーデ
ィングすることとし、乱数表６の最初の値が”１”なら
ば「左回り」偏光となるように光パルス３の偏光状態を
変える。送信者１には選択したコーディング法は知らせ
ず、光パルス３だけを送る。同様にして引き続くビット
に対して次々と光子を送る。

【００２５】ステップ２：光パルス３が伝送路部を経て
受信側に到達した時点で、送信者１はどちらのコーディ
ング法を選択したかを公開チャンネル５で明らかにす
る。

【００２６】ステップ３：受信者２は、公開チャンネル
５で明らかにされたコーディング法に従って、直線偏光
と円偏光のどちらを測るかを決心し、偏光測定器を含む
受光器９を用いて遅延１０から出てきた光パルス３を測
定する。

【００２７】ステップ４：送信者１と受信者２は通信し
たビットのうち適当な割合で照合ビットを抽出し、それ
ぞれの答合わせを（公開チャンネル５で）行う。十分な
数の照合ビットが一致すれば、上記文献に説明されてい
るような理由により、１に近い確率で盗聴されていない
と結論づけられる。

【００２８】ステップ６：照合ビットを除いたビットは
送信者１と受信者２しか知らない同一の値を有すること
が保証されているので、それを秘密鍵７と決定する。

【００２９】以上の手順により、照合ビットを除いて原
理的に光パルス１個につき１ビットの秘密鍵を生成する
ことができる。

【００３０】遅延４状態暗号の欠点は、受信者２が測定
を行う際に、直線偏光と円偏光の２種類の測定方法を光
パルスごとに切り替えなければならない点である。この
ことは、通信が４状態を用いて行われているため、この
方式では事実上２ビットの情報を送信しており、そのう
ち１ビットは公開チャンネルを通じて漏洩するため破棄
しているという事情に起因している。

【００３１】次に、非直交２状態について説明する。非
直交２状態暗号は、直交しない２つの量子状態をビッ
ト”０”と”１”に対応させて送信する方法である。以
下は非直交２状態量子暗号の一実施形態である。詳細は
文献：［１０］C.H.Benett,Phys.Rev.Lett.68,3121（19
92）、［１１］B.Huttner,N.Imoto,N.Gisin,and T.Mor,
Phys.Rev.A51,1863 （1995）に述べられており、ここで
は文献［１０］で提案された構成を説明のためにより簡
略化した図４で説明する。送信者１はコヒーレント光パ
ルス１１を５０％のビームスプリッタ１２で光パルス１
３と１４に分け、位相変調器１５を用いて光パルス１３
の光位相を乱数表６に従ってビット値が”０”ならば０
度、ビット値が”１”ならば１８０度と変調し、光ファ
イバ１６と１７からなる量子チャンネル４に送る。以下
すべての量子暗号において公開チャンネル５は共通であ
るので、図４以降本明細書では省略する。受信者２は、
５０％のビームスプリッタ１８で光パルス１３および１
４を干渉させる（実際は文献［１０］にも述べられてい
るようにビームスプリッタ１２および１８の反射率は５
０％である必要はない）。

【００３２】ビームスプリッタ１２からビームスプリッ
タ１８までは１つのマッハツェンダー干渉計を構成す
る。受信者２は光ファイバ１６と１７の間の位相差θを
適当に調節し、ビームスプリッタ１８においてビット
値”０”のパルスは受光器１９側がダークフリンジに、
ビット値”１”のパルスは受光器２０側がダークフリン
ジになるようにする。コヒーレント光パルス１１の強度
は、パルスに含まれる平均光子数が１よりずっと小さい
（例えば０．１の）コヒーレント状態の光を用いる。こ
れは光パルス３に含まれる光子の数が２以上になる確率
をできる限り０に近づけるためである。平均光子数が１
よりずっと小さいので、パルス到着時に受光器１９と２
０のいずれにも光子がカウントされないケースがほとん
どとなるので、ほとんどの場合受信者２にとってビット
値判定不能となる。しかし、受光器１９でカウントされ
た場合はビット値は”１”、受光器２０でカウントされ
た場合は”０”であると確定的に結論することができ
る。以上のことから次のようなプロトコルで秘密鍵交換
が可能である。

【００３３】ステップ１：送信者１は乱数表６に従って
光パルス１３の位相を位相変調器１５を用いて変調し、
送る。

【００３４】ステップ２：受信者２は受光器１９と２０
で光子のカウンティングを行う。カウントした場合、受
信者２は送信者１が乱数表６から引いたビット値がわか
る。受信者２は受光器１９と２０のどちらでカウントし
たかは言わず、カウントした、あるいはしなかった事実
だけを公開チャンネルで送信者１に告げる。

【００３５】ステップ３：受信者２がカウントしないと
公表したビットは、受信者に伝わっていないので、送信
者１もそのビットを破棄し、カウントがあったビットの
み残す。

【００３６】ステップ４：残ったビット列から適当な割
合で照合ビットを抽出し、それぞれの答合わせを（公開
チャンネル５で）行う。十分な数の照合ビットが一致す
れば、後で述べる理由により１に近い確率で盗聴されて
いないと結論づけられる。

【００３７】ステップ５：照合ビットを除いたビットは
送信者１と受信者２しか知らない同一の値を有すること
が保証されているので、それを秘密鍵７と決定する。

【００３８】このスキームに対し盗聴者に何ができるか
を考える。量子チャンネル４にアクセスして二手に分か
れた光パルスの位相差を測定するためには、受信者と同
様干渉させて光子カウンティングを行う必要がある。た
またまカウンティングに成功すれば、送信者と同じ装置
を用いて送信者が送ったのと同じ並列２パルスを送るこ
とができる。しかしほとんどのパルスで光子がカウント
されないので、その場合は偽のパルスを何も送らない
か、ランダムな位相差を持った偽のパルスを送るかしか
ない。前者の場合、伝送レートが本来値から下がり、後
者の場合照合ビットの矛盾を引き起こし、いずれにせよ
送信者と受信者から検知される。

【００３９】非直交２状態暗号は、２状態しか使用しな
いため、受信者の測定系は簡単になる。しかし、非直交
な２つの量子状態を識別することは、１よりも小さな確
率でしかできないために、受信者は送信されたビット列
の一部しかビット値を決定できず、残りの光パルスは無
駄になる。一方でこの方式の安全性はその非直交性に基
づいているため、この無駄はこの方式において不可避な
ものである。

【００４０】次に、時間差干渉暗号について説明する。
時間差干渉暗号は図５に示すようにマッハツェンダー干
渉計を用いる点で図４の非直交２状態暗号に類似してい
るが、他の量子暗号が非直交状態を用いるのに対し、直
交する状態のみを用いる点が特徴的である。詳細は文
献：［１３］Goldenberg and Vaidmann:Phys.Rev.Lett.
75,1239 （1995）に述べられているが、以下簡単に説明
する。図５に示すように送信者１はビット”０”の場合
はポートＡ側から、ビット”１”の場合はポートＢ側か
ら光パルス３を入れ、乱数表６を送る。光パルス３は光
子をただ１つ含むとする。光パルス３は５０％ビームス
プリッタ１２で二手に分かれ、光パルス２１はそのまま
光ファイバ１６に、光パルス２２は長い遅延２３を経て
光ファイバ１７に入る。遅延を伝送距離より長くしてお
くことにより光パルス２１が受信者側に到着した後光パ
ルス２２が伝送路部に入る。受信者側では光パルス２１
に遅延２３と同じ長さの遅延２４を設ける。これによ５
０％ビームスプリッタ１８において光パルス２１と２２
は干渉し、ポートＡ側から入射した光パルス３はポート
Ａ′に、ポートＢ側から入射した光パルス３はポート
Ｂ′に出射する。受信者２は単にポートＡ′かＢ′かを
見ているだけで送信者１の乱数表６を再生できる。この
干渉系を用いて盗聴に対して安全なプロトコルは以下の
ようになる。

【００４１】ステップ１：送信者１は乱数表６に従って
光パルス３をＡ，Ｂいずれかのポートへ入射する。ただ
し、定期的なタイミングで光パルスを次々と入射するの
ではなく、入射時刻をランダムに決め、その時刻を記録
しておく。

【００４２】ステップ２：受信者２は受光器１９と２０
で光子のカウンティングを行い、送信者１の乱数表６の
内容を決定する。カウントした時刻を同時に記録してお
く。

【００４３】ステップ３：入射時刻とカウント時刻を公
開チャンネル５で公開し、矛盾が生じていないかをテス
トする。

【００４４】ステップ４：ビット列から適当な割合で照
合ビットを抽出し、それぞれの答合わせを（公開チャン
ネル５で）行い、十分な数の照合ビットが一致している
かをテストする。

【００４５】ステップ５：ステップ３および４のテスト
で問題がなければ、照合ビットを除いたビットは送信者
１と受信者２しか知らない同一の値を有することが保証
されているので、それを秘密鍵７と決定する。

【００４６】この方式では、ビット値は２つの直交する
量子状態を用いて送信される。直交する２状態は完全に
識別可能であるから、受信者は送信されたビット列をす
べて決定できる。従って、照合ビットを除いたすべての
光パルスから、秘密鍵７を構築できる。

【００４７】しかし、他の方式とは異なり、照合ビット
の検証だけでは、秘密鍵の安全性は保証されない。これ
は、この方式においては、光パルス２１を受信者に渡し
てしまった後でも、光パルス２２が手元にあればそれに
適当な位相シフトを加えることにより、送信するビット
値を自由に選択できることに起因している。このこと
は、光パルス２１は単なる参照にすぎず、単独ではビッ
ト値の情報を有していないことを意味する。そこで、盗
聴者は送信者が選んだビット値を知らなくても、光パル
ス２１の偽物を送信者の用いた装置と同種の装置により
発生して受信者へ渡し、本物の光パルス２１を手元の遅
延路に保存し、光パルス２２を受け取ってビット値を知
った上で、光パルス２２の偽物に適切な位相シフトを施
して受信者に送ることにより、露見を免れることができ
る。

【００４８】このような盗聴手段を防止するために、こ
の方式ではビット照合とは別にもう一種のテスト（ステ
ップ３）を必要とする。この補足的なテストをするため
に、送信者と受信者は同期した時計を用意しなければな
らず、また、公開チャンネルでやりとりしなければなら
ない通信量も増加する。更に、パルス送信の間隔をラン
ダムにすることは、技術的に可能な最小時間間隔で次々
にパルスを送り出す場合に比べて必然的に伝送レートの
低下を招く。

【００４９】

【発明が解決しようとする課題】上述したように、従来
の量子暗号のうち、４状態暗号および非直交２状態暗号
は、光パルスの一部しか秘密鍵生成に使用できず、遅延
４状態暗号は、直線偏光と円偏光の２種類の測定方法、
すなわち測定系を光パルス毎に切り替える必要があり、
また時間差干渉暗号は、ビット照合以外のテストが必要
であるという問題がある。

【００５０】本発明は、上記に鑑みてなされたもので、
その目的とするところは、２状態のみ使用し、測定系の
切り替えが不要であり、ビット照合のみで安全性を確保
でき、送信パルス列のすべてを利用しうる量子暗号の構
成方法を提供することにある。

【００５１】

【課題を解決するための手段】上記目的を達成するた
め、請求項１記載の本発明は、量子力学的状態を変調し
た第１の信号を伝える量子チャンネルと古典的状態を変
調した第２の信号を伝える古典チャンネルを用い、不確
定性原理に基づいて盗聴行為によって前記第１の信号に
発生する撹乱の有無を前記古典チャンネルを用いて監視
しながら、乱数表を送信側より受信側に伝送し、前記乱
数表を秘密鍵とする量子暗号の構成方法であって、送信
側において、たかだか１つの光子からなる光パルスを発
生し、入力口から第１と第２の出力口への分岐比が等し
くない第１のビームスプリッタの第１と第２の入力口の
いずれかを乱数表の１ビットの値に基づいて選択し、前
記選択された入力口から前記光パルスを入力し、前記第
１の出力口を第１の量子チャンネルに接続し、前記第２
の出力口を送信側と受信側の直線距離と前記量子チャン
ネルの光路長との差よりも長い第１の遅延路に接続し、
その出力を第２の量子チャンネルに接続し、受信側にお
いては、前記第１の量子チャンネルの出力を前記第１の
遅延路と等しい長さの第２の遅延路に接続し、その出力
を前記第１のビームスプリッタと同一の分岐比を持つ第
２のビームスプリッタの第１の入力口に接続し、前記第
２の量子チャンネルの出力を前記第２のビームスプリッ
タの第２の入力口に接続し、前記第１のビームスプリッ
タの第１の入力口から前記第２のビームスプリッタの第
２の出力口に至る２つの光路の位相差がπになるように
調整し、前記第２のビームスプリッタの第１の出力口を
第１の光検出手段に入力し、第２の出力口を第２の光検
出手段に入力し、どちらの光検出手段が検出したのかを
もって１ビットの信号を登録し、これを繰り返すことに
より前記乱数表の送信を行い、前記送信者の乱数表と受
信者が記録した乱数表の一部を古典チャンネルにより照
合し、一致していた場合のみ、前記乱数表の残りの部分
を秘密鍵として登録することを要旨とする。

【００５２】請求項１記載の本発明にあっては、送信側
において、第１のビームスプリッタの第１と第２の入力
口のいずれかを乱数表の１ビットの値に基づいて選択
し、この選択された入力口から光パルスを入力し、前記
ビームスプリッタの第１の出力口を第１の量子チャンネ
ルに接続し、第２の出力口を第１の遅延路を介して第２
の量子チャンネルに接続し、受信側においては、第１の
量子チャンネルの出力を第２の遅延路を介して第２のビ
ームスプリッタの第１の入力口に接続し、第２の量子チ
ャンネルの出力を第２のビームスプリッタの第２の入力
口に接続し、第１のビームスプリッタの第１の入力口か
ら第２のビームスプリッタの第２の出力口に至る２つの
光路の位相差がπになるように調整し、第２のビームス
プリッタの第１の出力口を第１の光検出手段に入力し、
第２の出力口を第２の光検出手段に入力し、どちらの光
検出手段が検出したのかをもって１ビットの信号を登録
するという処理を繰り返すことにより乱数表の送信を行
い、送信者の乱数表と受信者が記録した乱数表の一部を
古典チャンネルにより照合し、一致していた場合のみ、
乱数表の残りの部分を秘密鍵として登録する。

【００５３】

【発明の実施の形態】以下、図面を用いて本発明の実施
の形態について説明する。

【００５４】図１は、本発明の一実施形態に係る量子暗
号の構成方法を説明するための図である。同図に示す実
施形態の量子暗号の構成方法は、非対称なマッハツェン
ダー干渉計をベースに新しい量子暗号の構成およびプロ
トコルを考案したものであり、２状態しか用いないの
で、受信者の測定系の切り替えが不要であり、また直交
する状態を用いているため原理的に受信者は送信された
ビットをすべて決定できて無駄がなく、ビット値の照合
以外のテストを必要としないという特徴がある。

【００５５】図１において、送信者１はビット”０”の
場合はポートＡ側から、ビット”１”の場合はポートＢ
側から光パルス３を入れ、乱数表６を送る。光パルス３
は光子をただ１つ含むとする。光パルス３はビームスプ
リッタ２５で二手に分かれる。このビームスプリッタ２
５には、反射率と透過率が等しくないもの、すなわち分
岐比が１：１ではないものを使用する（ただし完全反
射、完全透過は除く）。分岐比はどちらが大きくなって
もよい。ここでのビームスプリッタ（２５，２９も同
様）は、１つの光路を２つの光路に結合するものをさ
し、光ファイバで干渉計を組む際に用いられる方向性結
合器なども含む。

【００５６】分岐後の光パルス２６はそのまま光ファイ
バ１６に、光パルス２７は遅延２３を経て光ファイバ１
７に入る。遅延２３の光路長は、伝送路部の両端間の直
線距離と、伝送路部の光路長との差よりも長いものとす
る。このとき、伝送路部を通過する光パルス２７にアク
セスした第三者は、その後で光パルス２６にアクセスす
ることができなくなる。受信者側では光パルス２６に遅
延２３と同じ長さの遅延２４を設ける。更に、干渉計の
片方の腕にπの位相シフト２８を設け、両腕の光路長の
差を半波長とする。これにより、ビームスプリッタ２５
と同一の反射率、透過率をもつビームスプリッタ２９に
おいて光パルス２６と２７は干渉し、ポートＡ側から入
射した光パルス３はポートＡ′に、ポートＢ側から入射
した光パルス３はポートＢ′に出射する。受信者２は単
にポートＡ′かＢ′かを見ているだけで送信者１の乱数
表６を再生できる。この干渉系を用いて盗聴に対して安
全なプロトコルは以下のようになる。

【００５７】ステップ１：送信者１は乱数表６のビット
値に従って光パルス３をＡ，Ｂいずれかのポートへ入射
する。同様して引き続くビットに対して次々と光子を送
る。

【００５８】ステップ２：受信者２は受光器１９と２０
で光子のカウンティングを行い、送信者１の乱数表６の
ビット列の内容を決定する。盗聴がなければ受信者は乱
数表６と同じものを手にしているはずである。

【００５９】ステップ３：盗聴の有無を確認するため、
ビット列から適当な割合で照合ビットを抽出し、それぞ
れの答合わせを（公開チャンネル５で）行い、十分な数
の照合ビットが一致しているかをテストする。

【００６０】ステップ４：ステップ３のテストで問題が
なければ、照合ビットを除いたビットは送信者１と受信
者２しか知らない同一の値を有することが保証されてい
るので、それを秘密鍵７と決定する。

【００６１】本発明の方式における盗聴に対する安全性
は、ビット値の情報を２つのパルス２６と２７に分割し
て載せている点にある。ここで、「分割して載ってい
る」というのは、先に送り出されるパルス２６だけを受
け取ったとき、受信者はビット値の情報を不完全ながら
ある程度得ることができ、また送信者は、パルス２６を
送り出してしまった後で、パルス２７だけにアクセスし
て、確実ではないがある成功率でビット値を変更できる
という状態である。このような２つのパルスを１つずつ
送り出した場合、盗聴者は、各パルスに載った部分的な
ビット情報を複製することができない、言い換えれば痕
跡を残さずビット情報を取り出すことができないこと
を、量子力学の基本原理を用いて証明することが可能で
ある。また、ビット情報を知らずにパルスを偽物とすり
替えることも不可能である。

【００６２】逆に、ビット情報が２つのパルスのいずれ
か一方のみに集中して載せられている場合には、盗聴者
はそのビット情報を自由に複製することができる。従来
の量子暗号の１つである上述した時間差干渉暗号では、
まさにこの状況になっており、ビット情報は後ろのパル
ス２２にのみ載せられている。そのため、この時間差干
渉暗号の安全性は、ランダムなパルス送信時刻とその確
認という前述したようにいくつかの欠点をもつ手続きに
よって確保されている。従って、本発明の方式は、時間
差干渉暗号とは本質的に異なる仕組に基づいて安全性を
確保しており、その結果、ランダムな検出時間を測定、
記録して照合するという手続きは不要となっている。

【００６３】上述したように、本実施形態の量子暗号の
構成方法は、２状態しか用いないので、受信者の測定系
の切り替えが不要であり、また送信パルス列のすべてを
利用可能であり、ビット照合のみで安全性を確保できる
という特徴を有するが、これらの各特徴について上述し
た従来の４状態暗号、遅延４状態暗号、非直交２状態暗
号、時間差干渉暗号と本発明を比較すると、次に示す表
１のようになり、本発明のみがこれらのすべての特徴を
備えている。

【００６４】

【表１】

【００６５】

【発明の効果】以上説明したように、本発明によれば、
秘密鍵の送信者はビット値に応じて２状態のうちから選
択して送信すればよく、受信者もその２状態を識別すれ
ばよいので、測定系の切り替えが不要である。また、原
理的に受信者は送信されたビットをすべて決定できる。
更に、盗聴者の有無の確認はビット値の照合のみによっ
て行われ、ランダムな送受信時刻の照合などの補足的な
手続きをせずに安全性を確保できる。従来の方式はどれ
も、以上の利点の一部を有することはあっても、すべて
を有することはない。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る量子暗号の構成方法
を説明するための図である。

【図２】従来の量子暗号である４状態暗号を説明するた
めの図である。

【図３】従来の量子暗号である遅延４状態暗号を説明す
るための図である。

【図４】従来の量子暗号である非直交２状態暗号を説明
するための図である。

【図５】従来の量子暗号である時間差干渉暗号を説明す
るための図である。

【符号の説明】

１ 送信者 ２ 受信者 ３ １光子光パルス ６ 乱数表 ７ 秘密鍵 １６，１７ 光ファイバ １９，２０ 受光器 ２３，２４ 遅延 ２５，２９ ビームスプリッタ ２６，２７ 光パルス ２８ π位相シフト

Claims (1)

【特許請求の範囲】
1. 【請求項１】 量子力学的状態を変調した第１の信号を
   伝える量子チャンネルと古典的状態を変調した第２の信
   号を伝える古典チャンネルを用い、不確定性原理に基づ
   いて盗聴行為によって前記第１の信号に発生する撹乱の
   有無を前記古典チャンネルを用いて監視しながら、乱数
   表を送信側より受信側に伝送し、前記乱数表を秘密鍵と
   する量子暗号の構成方法であって、 送信側において、たかだか１つの光子からなる光パルス
   を発生し、 入力口から第１と第２の出力口への分岐比が等しくない
   第１のビームスプリッタの第１と第２の入力口のいずれ
   かを乱数表の１ビットの値に基づいて選択し、 前記選択された入力口から前記光パルスを入力し、 前記第１の出力口を第１の量子チャンネルに接続し、 前記第２の出力口を送信側と受信側の直線距離と前記量
   子チャンネルの光路長との差よりも長い第１の遅延路に
   接続し、その出力を第２の量子チャンネルに接続し、 受信側においては、前記第１の量子チャンネルの出力を
   前記第１の遅延路と等しい長さの第２の遅延路に接続
   し、その出力を前記第１のビームスプリッタと同一の分
   岐比を持つ第２のビームスプリッタの第１の入力口に接
   続し、 前記第２の量子チャンネルの出力を前記第２のビームス
   プリッタの第２の入力口に接続し、 前記第１のビームスプリッタの第１の入力口から前記第
   ２のビームスプリッタの第２の出力口に至る２つの光路
   の位相差がπになるように調整し、 前記第２のビームスプリッタの第１の出力口を第１の光
   検出手段に入力し、第２の出力口を第２の光検出手段に
   入力し、 どちらの光検出手段が検出したのかをもって１ビットの
   信号を登録し、 これを繰り返すことにより前記乱数表の送信を行い、 前記送信者の乱数表と受信者が記録した乱数表の一部を
   古典チャンネルにより照合し、一致していた場合のみ、
   前記乱数表の残りの部分を秘密鍵として登録することを
   特徴とする量子暗号の構成方法。